How hackers are hacking daily [webs hacking]

ဟက္ကာ  အမ်ားစု Deface ေတြပဲ လိုက္တင္ေနတဲ့သူေတြဟာ scripts kiddies သာ သာ ရွိပါတယ္.. နဲနဲ expert ျဖစ္ေနပီးဆိုရင္ေတာ့ ဒီေဖ့ ထိုးတာကို စိတ္ပ်က္သြားတတ္က်ပါတယ္..(က်ေနာ့္ အျမင္ အရေပါ့ေနာ္.. )



ခုက်ေနာ္ ဟက္ကာေတြ ဟာ ဘယ္လို ဟက္က်တယ္.. ဘယ္လို server ထဲကို၀င္းပီး တျခားဒိုမိန္းကို ယူၾကတယ္.. ဆိုက္ရဲ႔ အားနည္းခ်က္ကို အျမန္ဆံုး ရွာၾကသလဲ ဆိုတာကို ေဖာ္ျပသြားမွာ ျဖစ္ပါတယ္..



Sql Injection



Webs Hacking ဆိုတာနဲ႔ မ်ားေသာအားျဖင့္ လူေတြက sql injection ဆိုအေတာ္ေလး အကြ်မ္း၀င္ မယ္လို႔ထင္ပါတယ္.. ဟက္ကာ အမ်ားစုဟာ sql injection ကို အဓိက လက္နက္

အျဖစ္သံုးတတ္က်ပါတယ္.. တျခား LFI, RFI, LDAP injection, RCE, XSS ဆိုတဲ့ဟာလိုမ်ိဳး exploit ေတြ အမ်ားၾကီးေတာ့ ရွိတာေပါ့ဗ်ာ..



Searching for Vulnerable



ဒါကေတာ့ ဘယ္လို ဆိုက္ေတြ ရဲ႔ အားနည္းခ်က္ကို ရွာသလဲ ဆိုတာပါ.. ဒါကလြယ္ပါတယ္..

Dorks ေတြနဲ႔ ရွာတာေပါ့ေနာ္.. Exploit Finder Tools ေတြနဲ႔ ရွာ ရင္ ေတာ့ ပိုပီး ေတာ့ လြယ္ပါတယ္ေပါ့ေနာ္.. J



I want to attack a specific website which is on the same sever (same host)



ဒါကလြယ္ပါတယ္.. ဟက္ကင္ေလာက မွာေတာ့ symlink လို႔ေခၚတာေပါ့ေနာ္..

ဥပမာ ip က 127.0.1.111 ဆိုရင္ အဲဒါကို ေရွ႔မွာ ip=127.0.1.11 id=  ဒီလို Bing မွာ ရွာလိုက္ရင္sever ထဲက samhost ထဲက ဆိုက္ေတြ ေတြ႔ႏိုင္တာေပါ့ေနာ္..



Symlink hacking ဆိုတာကို ေျပာရရင္ attacker အေနနဲ႔ server ထဲမွာရွိတဲ့ permission မေပးထားတဲ့ folder ေတြကို access ရေအာင္လုပ္တာပါပဲ။ ဥပမာဗ်ာ home ဆိုတဲ့ directory ကို root user ကပဲ access လုပ္လို႔ရမယ္ဗ်ာ။ အဲဒါကို attacker က symlink bypass လုပ္ၿပီး home directory ေအာက္က file ေတြကို access လုပ္tတာမ်ိဳးပါ။ ဘယ္လိုေနရာေတြမွာ ေတြ႕ရသလဲဆိုေတာ့ shared hosting တစ္ခုရွိမယ္ ဆိုပါစို႔။ အဲဒီမွာ multiple site ေတြကို host လုပ္ထားမယ္ဗ်ာ။ သာမန္အားျဖင့္ဆိုရင္ shared hosting မွာရွိတဲ့ individual account ေတြမွာ individual cpanel ေတြရွိၾကပါတယ္။ အဲဒါေတြဟာလည္း ကၽြန္ေတာ္ေျပာခဲ့သလို multiple account ေတြအတြက္ multiple directory ေတြေအာက္မွာရွိတာပါ။ အဲဒီအတြက္ တျခား account ကေန မိမိရဲ့ account ကသာ access လုပ္ခြင့္ရွိတဲ့ directory ကို လာၿပီး access လုပ္ခြင့္မရွိပါဘူး။ သို႔ေသာ္ attacker အေနနဲ႔ symlink bypass လုပ္မယ္ဆိုရင္ေတာ့ ကိုယ့္ site ကို ဘယ္လိုပဲ လုံေအာင္လုပ္ထားပါေစ vulnerable ျဖစ္ေနတဲ့ site ကေန ပတ္ၿပီး ဝင္လာမွာပါပဲ။ အဲဒါကို symlink bypass လုပ္တယ္လို႔ ေခၚတာပါ။

အဲဒီေတာ့ ကၽြန္ေတာ့အေနနဲ႔ symlink hacking အေၾကာင္းမေျပာခင္ symlink ဆိုတာ ဘာလဲဆိုတာ နည္းနည္းေလာက္ ရွင္းျပခ်င္ပါတယ္။ Symlink ဆိုတာ symbolic link ရဲ့ အတိုေကာက္ ျဖစ္ၿပီးေတာ့ soft link လို႔လည္း သုံးႏွုန္းပါတယ္။ သူဟာ တျခား file ဒါမွမဟုတ္ directory ကို refer ျပန္လုပ္တဲ့ unix file တစ္မ်ိဳးပါ။ ဒီထက္ ျမင္သာေအာင္ ေျပာရရင္ေတာ့ windows က shortcut သေဘာမ်ိဳးပါပဲ။ ဘယ္ေနရာမွာသုံးၾကသလဲဆိုရင္ system administrator ေတြဟာ အရမ္းရွည္လ်ားလြန္းတဲ့ path လမ္းေၾကာင္းေတြထဲက file ေတြကို မိမိနဲ႔ နီးနီးနားနား directory ထဲကို ျပန္ေခၚလိုက္ တာပါပဲ။

ဥပမာဗ်ာ system administrator တစ္ေယာက္က /var/www/html/site1/securedir/.htaccess ဆိုတဲ့ file တစ္ခုကို ၾကည့္ခ်င္ ျပင္ခ်င္တယ္ဆိုပါစို႔ဗ်ာ။ အဲဒီအခါမွာ တစ္ခါ ျပင္ခ်င္တိုင္း သူ႔မွာ အဲဒီ directory အထိေအာင္ သြားေနရမယ္။ အဲဒီေတာ့ သူ႔ root folder မွာ အဲဒီေကာင္ကို refer လုပ္ထားလိုက္ရင္ သူ႔အေနနဲ႔ ျပင္ခ်င္တိုင္းမွာ ဟိုဘက္ directory ကို ခဏခဏ သြားစရာမလိုေတာ့ဘူးေပါ့။ အဲဒီအတြက္ system administrator ဟာ ေအာက္က .htaccess file ကို သူ႔ ေအာက္ထဲကို ေအာက္ပါအတိုင္း refer လုပ္ပါမယ္။

ln -s /var/www/public_html/site1/securedir/.htaccess /home/config/.htaccess

အဲဒီအခါမွာ /home/nulledbyte/ ဆိုတဲ့ directory ေအာက္မွာ .htaccess ဆိုတဲ့ symlink ကို create လုပ္ၿပီးသား ျဖစ္သြားပါလိမ့္မယ္။ အဲဒါကေတာ့ symlink ရဲ့အေျခခံသေဘာပါ။

ဟုတ္ၿပီ။ အဲဒီအခါမွာ attacker ကေရာ ဘယ္လို offensive purpose မွာ အသုံးခ်နိုင္မလဲ ဆိုတာ ေမးစရာ ရွိလာၿပီေပါ့။ ဥပမာဗ်ာ host တစ္ခုရွိမယ္။ အဲဒီ host က site တစ္ခုက vulnerable ျဖစ္ေနတဲ့အတြက္ attacker အေနနဲ႔ shell တင္ထားမယ္ဗ်ာ။ သူ႔အေနမနဲ႔ အဲဒီ host က / ဆိုတဲ့ root directory ေအာက္မွာ ဘာေတြရွိမလဲ သိခ်င္လာၿပီဆိုရင္ အဲဒီမွာ သူက symlink bypass ကို သုံးေတာ့မယ္။

Attacker တင္ထားတဲ့ shell script ရဲ့ link က ေအာက္ကအတိုင္းျဖစ္မယ္ဗ်ာ။

http://www.website.com/shell.php

အဲဒီ site ရဲ့ directory က ဒီလိုရွိတယ္ ဆိုပါစို႔ဗ်ာ။

/home/site1/public_html/

အဲဒီမွာ attacker က shell ကတဆင့္ /home/site1/public_html/ ေအာက္မွာ myroot ဆိုတဲ့ directory တစ္ခု ထပ္ေဆာက္မယ္ဗ်ာ။

mkdir myroot

အဲဒီအခါမွာ /home/site1/public_html/ ေအာက္မွာ myroot ဆိုတဲ့ directory ေရာက္သြား ၿပီေပါ့ဗ်ာ။

/home/site1/public_html/myroot

အဲဒီမွာ attacker အေနနဲ႔ server က php file ေတြကို ဖတ္ဖို႔နဲ႔ symlink ကို allow လုပ္ဖို႔အတြက္ .htaccess file တစ္ခုကို myroot ဆိုတဲ့ directory ေအာက္မွာ create လုပ္ပါမယ္။

?
1

2

3

4
    Options Indexes FollowSymLinks

DirectoryIndex ssssss.htm

AddType txt .php

AddHandler txt .php

အဲဒီေနာက္မွာ attacker ဟာ ေအာက္ပါ ln command ကို ရိုက္ၿပီးေတာ့ / ဆိုတဲ့ root directory ေအာက္က file ေတြကို /home/site1/public_html/myroot ဆိုတဲ့ directory ေအာက္ကို symlink လုပ္သြားပါလိမ့္မယ္။

ln -s / myroot

အဲဒီေနာက္ေတာ့ attacker ဟာ http://www.website.com/myroot ကို ဝင္ၾကည့္ျခင္းအားျဖင့္ host ထဲက / ေအာက္က file ေတြကို ေတြ႕ရမွာပါ။ အဲဒါကေတာ့ symlink attack ရဲ့ အေျခခံသေဘာတရားပါ။

Credit to infofreakz



p.s  ဒါေတြက ခုတေလာ GUI ဆန္ဆန္ tools ေတြ ထြက္လာတာ မ်ားလာပါပီ.. အလြယ္တကူ လုပ္ႏိုင္က်ပါပီ…



I’ve got the admin access, now what I’m gonna do ?



ဒါဆိုရင္ေတာ့ shell တင္လိုက္ရမွာေပါ့ေနာ္.. (shell ဆိုတာက scripts တခုျဖစ္ပီး Web site ကို ၾကိဳက္သလို Control လုပ္လို႔ရတဲ့ဟာေပါ့ေနာ္. )

admin access ရပီပဲ.. shell ဆိုတဲ့ဟာၾကီးက လိုေသးလို႔လား.. ??



အဲလို စဥ္းစားလဲ မွားေတာ့ မမွားဖူးေပါ့ေနာ္.. ဒါေပမဲ့.. admin access ဆိုတာေလး က post တင္ဖို႔ သာသာ ပဲ ရေတာ့ အဲ့ဆိုက္ထဲမွာ directory ေတြ သြားလဲ မရဖူး.. codes ေတြ လဲ ၾကည့္လုိ႔မရဖူးဆိုေတာ့ shell ဆိုတဲ့ဟာေလးကို တင္ပီး လုပ္ရတာေပါ့ေနာ္..



I’ve got the shell on that site, now what i’m gonna do ?



Shell access ရပီဆိုရင္ index.php ေတြ ကို သြားပီး deface လုပ္ ဒါမွ မဟုတ္

Rooting  လုပ္မယ္ေပါ့.. rooting ?



Rooting? What is Rooting ?



Rooting ဆိုတာက sever owning ျဖစ္ေအာင္ လုပ္တာ ျဖစ္ပါတယ္..

Back-connect ေတြလုပ္ပီး ဒါမွ မဟုတ္ဟုတ္ Port ေတြကို Bind မွာျဖစ္ပါတယ္..

(ဒါေတြ က်ေနာ္ ေနာက္မွ Tuto: နဲ႔ ပိုစ့္ေရးေပးပါ့မယ္..  ဒီလို သပ္သပ္ ရွင္းတာ သိပ္ အဆင္မေျပလို႔ ပါ.. )



ေနာက္တခုက



Pwning the Kernel  ပါ

Rooting ထဲက တခုေပါ့ေနာ္.. သူက Kernel Version ကို ၾကည့္ပီး exploit ေတြ ကို ရွာတာပါ.. ကိုယ့္ဖာသာ လဲ လုပ္လို႔ရတာေပါ့ေနာ္.. ဒါေပမဲ့ ကိုယ္ေတြက အဆင္မေျပေသးလို႔ :D



ခုေနာက္ပိုင္း shell ေတြ ကေန Kernel version ေတြကို ေအးေဆး ၾကည့္လို႔ရသြားပါပီ



http://www.exploit-db.com/local/

ဒီဆိုက္ကေတာ့ exploit ေတြ ထုတ္ေ၀ ေပးေနတဲ့ ဆိုက္ျဖစ္တယ္.. ပီးေတာ့ က်ေနာ္ေပးတဲ့လင္ခ့္ကေန Kernel exploit ေတြ ၾကည့္လို႔ ရတယ္.. ရွိလဲ ရွိပါတယ္.. အားလံုးေတာ့ မရွိဖူးေပါ့ေနာ္.. :P

Credit > It4burma (admin , #config )